国歌的教训: 让每个员工都成为网络安全团队的一部分

到目前为止，我们网络安全世界中的许多人正在梳理一系列材料，以分析国歌数据安全漏洞的原因，动机和方法，这些漏洞使健康保险集团颠倒过来，并影响了8000万多人。

关于这种情况是如何发生的，有很多讨论。可以理解的是，专家们指出了这样一个事实，即anthem数据库中的消费者信息没有加密。然而，尽管数据加密是任何全面安全计划的关键组成部分，但加密并不是Anthem案中最大的问题。实际上，这只是首席信息安全官 (CISO) 武器库中防止此类威胁的一种工具。

纳入防御性安全措施

我认为，更关键的防御安全措施发生在Anthem检测到漏洞的方式上，以及这对组织如何利用所有资源来应对网络威胁意味着什么: 在Anthem，anonsecurity员工发现他的数据库凭据被用来运行他尚未发起的查询时，便发现了这一发现。回想起来，目前还不清楚，如果不是他，渗透还会被忽视多久。

这是带回家的重点。组织发现违规行为的平均时间为209天，但是维持每个人都意识到安全的工作环境可以大大减少该时间和总体损失。国家安全局 (NSA) 总部是一个很好的例子，说明了经过深思熟虑的所有安全态势 (尽管有爱德华·斯诺登问题)。

如果没有一个随机的工作人员停下来询问您的徽章在哪里，您就不能走进nsa的sheadquarters超过20英尺。70年前，著名的第二次世界大战海报惊呼 “松散的嘴唇沉没的船只”，意在强化每个人都必须关心行动安全的想法。今天仍然如此: 关键是建立一种企业文化，以检测可能成为真正威胁的异常情况，并使每个员工都参与其中，而不仅仅是IT部门。

换句话说，将更多的安全敏感性纳入您的整体企业文化中。国家安全局，银行等组织出于必要，已将身体安全感纳入其企业文化中，如今，越来越多的组织感到越来越迫切地需要将网络安全敏感性纳入其文化中。

更直白地说: 组织通常是从员工的无意，非恶意但不安全的活动中被黑客入侵的。

四个需要注意的网络安全场景:

1.员工显示其公开的Facebook帐户，以披露其完整的姓名和出生日期，可以为网络掠夺者提供工具，以潜在地获得社会安全号码以及其他基本信息，以成功渗透到公司的商业和个人帐户中。

2.出现在公共场所 (例如会议厅或酒店) 的 “影子wi-fi帐户” 会捕食设置为连接到最近的开放网络的移动设备。这种看似信誉良好的访问点说服商务旅客无意中暴露了他们的iphone，ipad或笔记本电脑上的公司信息。

3.密码很难记住，因此人们将其记录在笔记本上或计算机或电话上的未加密文件上。这种常见的错误会将他们的帐户打开给攻击者，而攻击者只需要做最少的工作。

4.收到来自陌生人的电子邮件或在合法网站上看到广告的员工单击链接，并立即将恶意软件渗透到整个公司的网络中。这不是恶意行为: 队友只是没有意识到一个点击可能是howharmful。

将个人安全纳入公司文化的四种方法:

1.向全体员工强调安全的计算机实践，这些实践远远超出了在办公时间内浏览的不适当网站的列表。

2.对员工的网络安全活动给予与下班后使用办公楼的安全措施相同的关注和关注。

3.培训所有员工良好的网络 “卫生” (即如何不点击电子邮件中的链接; 如何不在开放的数字或物理介质中保留密码等)。

4.限制普通用户可用的管理范围。这需要大量的员工流程修改和变更管理，但对于公司管理其网络风险至关重要。

这些举动并不意味着组织应该忽略其网络体系结构，安全补丁程序，灾难恢复策略和威胁管理系统部署。

这些因素仍然至关重要。但是，仅通过IT部门实施安全措施，而未能解决网络安全敏感性作为公司企业文化的核心组成部分的总体需求，这就像将门锁在您的房屋中，但将窗户打开以让外部空气进入。